zwischen
der das digitale Bildungsangebot „Techlogia Lab" nutzenden Schule bzw. dem Schulträger
*Die konkreten Angaben (Name, Anschrift, Schul-Typ, Schüler- und Lehrkräftezahl sowie Schulleitung und Datenschutzbeauftragte/r) werden beim Vertragsschluss im Rahmen des Onboardings eingetragen.*
— nachfolgend „Verantwortlicher" (Auftraggeber) —
und
Techlogia — Inhaber Jaciel Antonio Acea Ruiz Prinzenallee 38, 13359 Berlin, Deutschland E-Mail: info@techlogia.de
— nachfolgend „Auftragsverarbeiter" (Auftragnehmer) —
— gemeinsam die „Parteien" —
(2) „Hauptvertrag" ist die zwischen den Parteien bestehende Vereinbarung über die Bereitstellung und Nutzung des Bildungsangebots Techlogia Lab (Lizenz-/Nutzungsvertrag), zu der dieser Vertrag eine datenschutzrechtliche Ergänzung bildet. Bei Widersprüchen zu datenschutzrechtlichen Regelungen geht dieser Vertrag vor.
(2) Art und Zweck sind ausschließlich die Erbringung der vertraglich vereinbarten Lerndienstleistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbe-, Profilbildungs- oder Trainingszwecken, findet nicht statt.
(3) Eine nähere Beschreibung enthält Anlage 1.
(4) Dauer: Der Vertrag wird auf unbestimmte Zeit geschlossen und ist an die Laufzeit des Hauptvertrags gebunden. Beide Parteien können ihn mit einer Frist von 30 Tagen zum Monatsende ordentlich kündigen; das Recht zur außerordentlichen Kündigung (§ 15) bleibt unberührt. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt.
(2) Datenarten (Einzelheiten in Anlage 1): pseudonyme Schüler-Profile (Anzeige-Name/Pseudonym, Klassen-/Kurszugehörigkeit, optional Geburtsjahr); Stammdaten der Lehrkräfte (Name, dienstliche E-Mail, Schulzugehörigkeit); Lern- und Nutzungsdaten (gestartete/abgeschlossene Aufgaben, Fehlerprotokolle, bearbeitete Aufgaben); Sitzungs- und Technikdaten (Sitzungsbeginn/-ende, technische Protokolle, IP-Adresse der Lerner-VM).
(3) Keine besonderen Kategorien: Es werden keine besonderen Kategorien personenbezogener Daten i.S.v. Art. 9 DSGVO (insbesondere Gesundheits-, biometrische oder Daten zu politischen/religiösen/weltanschaulichen Überzeugungen) und keine Daten i.S.v. Art. 10 DSGVO verarbeitet.
(4) Schutzbedarf Minderjähriger: Es handelt sich überwiegend um Daten Minderjähriger, die nach Erwägungsgrund 38 DSGVO eines besonderen Schutzes bedürfen; der Schutzbedarf gilt als hoch. Die Rechtsgrundlage der Verarbeitung im schulischen Kontext bestimmt der Verantwortliche (in der Regel auf Grundlage der landesrechtlichen Schul- und Datenschutzvorschriften); auf eine Einwilligung der Schülerinnen und Schüler wird im schulischen Einsatz nicht abgestellt.
(2) Er erteilt Weisungen nach Maßgabe von § 5 und benennt die weisungsberechtigten Personen in Anlage 4.
(3) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.
(2) Weisungen werden anfänglich durch diesen Vertrag festgelegt und können danach in Schriftform oder dokumentiertem elektronischen Format durch Einzelweisungen geändert, ergänzt oder ersetzt werden. Mündliche Weisungen sind unverzüglich schriftlich oder elektronisch zu bestätigen.
(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin (Art. 28 Abs. 3 S. 3 DSGVO) und darf die Durchführung bis zu deren Bestätigung oder Änderung aussetzen.
a) personenbezogene Daten nur nach Maßgabe von § 5 und ausschließlich zu den Zwecken des § 2 zu verarbeiten;
b) die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten (soweit nicht bereits gesetzlich verpflichtet) und mit den Datenschutzbestimmungen vertraut zu machen;
c) den Grundsatz der Datenminimierung sowie „privacy by design / by default" (Art. 25 DSGVO) zu beachten; insbesondere melden sich Schülerinnen und Schüler ohne E-Mail-Adresse über Klassen-Code oder schulischen Identity-Provider an, und es werden keine Klarnamen der Schülerinnen und Schüler verlangt;
d) eine strikte Trennung der Daten verschiedener Schulen sicherzustellen (Mandantentrennung); jede Schule erhält ausschließlich Zugriff auf die ihr zugeordneten Daten;
e) alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu treffen (§ 7, Anlage 2);
f) den Verantwortlichen im Rahmen seiner Möglichkeiten bei dessen Pflichten zu unterstützen (§ 9).
(2) Der Auftragsverarbeiter darf alternative, mindestens gleichwertige Maßnahmen umsetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.
(2) Weitere Unterauftragsverhältnisse oder ein Wechsel bedürfen der vorherigen Information mit einer Frist von mindestens 30 Tagen sowie der vorherigen Zustimmung des Verantwortlichen in Schriftform oder dokumentiertem elektronischen Format. Widerspricht der Verantwortliche aus wichtigem datenschutzrechtlichen Grund innerhalb von 14 Tagen, kann der Auftragsverarbeiter den betreffenden Vertragsteil kündigen.
(3) Der Auftragsverarbeiter wählt Sub-Auftragsverarbeiter sorgfältig nach Eignung und Zuverlässigkeit aus und verpflichtet sie vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Er bleibt dem Verantwortlichen gegenüber verantwortlich.
(4) Nebenleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten (z.B. Telekommunikation, Wartung) gelten nicht als Sub-Auftragsverarbeitung.
(5) Keine Drittland-Übermittlung: Sämtliche personenbezogenen Daten werden ausschließlich innerhalb der Europäischen Union verarbeitet und gespeichert (Rechenzentren in Deutschland, Falkenstein/Nürnberg). Eine Übermittlung in Drittländer (Art. 44 ff. DSGVO) oder ein Zugriff aus Drittländern findet nicht statt; Standardvertragsklauseln sind nicht einschlägig.
(2) Der Auftragsverarbeiter erhält vom Identity-Provider ausschließlich die zur Authentifizierung und Rollensteuerung notwendigen Identifikatoren (insbesondere Pseudonym, Rolle und — soweit für die Lizenz-/Klassenzuordnung erforderlich — die Schulnummer). Eine darüber hinausgehende Datenübermittlung findet nicht statt. Es werden keine Dienste Dritter eingebunden, für die ein genehmigter Auftragsverarbeitungsvertrag fehlt.
(3) Nutzerprofile werden ausschließlich innerhalb des Bildungsangebots geführt (Datentrennung); eine Zusammenführung mit Daten anderer Dienste erfolgt nicht.
(4) Bei Nutzung dieses Pfads kommt der Vertrag durch konkludentes Handeln zustande, indem die berechtigte Stelle des Verantwortlichen das Angebot in der IdP-/VIDIS-Verwaltung freischaltet (Opt-in); dies wird gemäß § 16 Abs. 4 dokumentiert.
(2) Er unterstützt ferner bei der Einhaltung der Art. 32–36 DSGVO (Sicherheit, Meldung/Benachrichtigung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) und stellt die erforderlichen Informationen bereit.
(2) Die Meldung enthält, soweit möglich: a) eine Beschreibung der Art der Verletzung, mit Kategorien und ungefährer Zahl betroffener Personen und Datensätze; b) Name und Kontaktdaten der Anlaufstelle; c) eine Beschreibung der wahrscheinlichen Folgen; d) eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfe- und Abmilderungsmaßnahmen.
(3) Die Meldepflicht nach Art. 33, 34 DSGVO gegenüber Aufsichtsbehörde und betroffenen Personen obliegt dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn.
(2) Der Nachweis kann durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen, durch geeignete Selbstauskünfte oder durch Überprüfung vor Ort erfolgen. Der Auftragsverarbeiter stellt alle zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen erfolgen mit angemessener Vorankündigung und ohne vermeidbare Betriebsstörungen.
(2) Im laufenden Betrieb gilt das automatisierte Löschkonzept: Lerner-VMs werden nach spätestens 60 Minuten Inaktivität automatisch zerstört; Klassen-/Schülerdaten werden 90 Tage nach Deaktivierung der zugehörigen Klasse automatisch gelöscht.
(3) Die ordnungsgemäße Löschung wird auf Verlangen dokumentiert nachgewiesen (Löschungsbestätigung). Zu vernichtende Datenträger werden nach DIN 66399 vernichtet.
(2) Der Verantwortliche kann aus wichtigem Grund fristlos kündigen, insbesondere wenn der Auftragsverarbeiter einer wesentlichen Pflicht trotz Aufforderung nicht nachkommt, eine Weisung nicht ausführt oder eine berechtigte Kontrolle verweigert.
(2) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist — soweit gesetzlich zulässig — der Sitz des Auftragsverarbeiters.
(3) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen unberührt; die Parteien ersetzen sie durch eine wirksame, dem wirtschaftlichen Zweck nächstkommende Regelung.
(4) Der Vertragsabschluss wird beweisfähig dokumentiert: Zeitstempel (UTC), akzeptierende Person und Rolle, Akt-Quelle (Selbst-Onboarding, Versand durch den Auftragsverarbeiter oder Freischaltung über Identity-Provider/VIDIS gem. § 8a), Vertrags-Version und SHA-256-Prüfsumme des akzeptierten Inhalts. Der Verantwortliche kann diese Dokumentation auf Anfrage einsehen.
Optional — nur falls ein handschriftlicher Abschluss gewünscht wird:
Für den Verantwortlichen — Ort, Datum, Unterschrift, Name/Funktion: ____________________
Für den Auftragsverarbeiter — Berlin, (Datum), Jaciel Antonio Acea Ruiz (techlogia)
| Betroffene Personen | Datenarten | Zweck |
|---|---|---|
| Schülerinnen und Schüler | Pseudonym/Anzeige-Name, Klassen-/Kurszugehörigkeit, optional Geburtsjahr | Authentifizierung, Klassenzuordnung, Alters-Schutzlogik |
| Schülerinnen und Schüler | Lern-/Nutzungsdaten (gestartete/abgeschlossene Aufgaben, Fehlerprotokolle, bearbeitete Aufgaben) | Erbringung und Dokumentation der Lerndienstleistung, Fortschrittsanzeige für die Lehrkraft |
| Schülerinnen und Schüler | Sitzungs-/Technikdaten (Sitzungsbeginn/-ende, IP-Adresse der Lerner-VM, technische Protokolle) | Bereitstellung und Absicherung der Übungs-VM, Missbrauchs-/Kostenkontrolle |
| Lehrkräfte / Schulpersonal | Name, dienstliche E-Mail, Schulzugehörigkeit, Rolle | Lehrer-/Klassenverwaltung, Rollensteuerung (RBAC) |
Es werden keine besonderen Kategorien (Art. 9 DSGVO) und keine Daten nach Art. 10 DSGVO verarbeitet.
B. Integrität: TLS 1.3 und gehärtete Security-Header (CSP, X-Frame-Options, Referrer-Policy); Audit-Protokollierung administrativer Aktionen; strukturierte Protokollierung mit automatischer Maskierung sensibler Daten.
C. Verfügbarkeit und Belastbarkeit: verschlüsselte, automatisierte Backups (restic) mit gestaffelter Aufbewahrung; Monitoring und Alarmierung; Web Application Firewall (CrowdSec); automatisierte Angriffserkennung/-eindämmung (Host-Sentinel); containerisierter Betrieb mit kurzer Wiederherstellungszeit.
D. Verfahren zur regelmäßigen Überprüfung: Sicherheits-Audits (Lynis, quartalsweise); Dependency-Scanning und Patch-Management; jährlicher interner Penetrationstest (dokumentiert); Verschlüsselung im Transit (TLS 1.3) und im Ruhezustand (LUKS).
| Firma | Anschrift | Leistung | Verarbeitungsort | TOM / AV-Vertrag |
|---|---|---|---|---|
| Hetzner Online GmbH | Industriestr. 25, 91710 Gunzenhausen, Deutschland | Server-/Cloud-Hosting der Plattform-Infrastruktur (kein funktionaler Zugriff auf Inhalte) | Deutschland (Falkenstein/Nürnberg) | ja — TOM/AVV: https://www.hetzner.com/AV/TOM.pdf |
| Name | Funktion | Kontakt (E-Mail/Telefon) |
|---|---|---|
| (wird beim Vertragsschluss eingetragen) | Schulleitung | (wird eingetragen) |
| (bitte ergänzen) | Datenschutzbeauftragte/r der Schule | (bitte ergänzen) |
Anlaufstelle beim Auftragsverarbeiter: Jaciel Antonio Acea Ruiz, info@techlogia.de.
Weisungen sind in Schriftform oder dokumentiertem elektronischen Format (E-Mail an info@techlogia.de) zu erteilen. Ein Wechsel oder eine längerfristige Verhinderung der benannten Personen ist der jeweils anderen Partei unverzüglich mitzuteilen.